Attackere kan misbruge den måde, hvorpå browsere og andre applikationer håndterer damp: // protokol URL'er for at udnytte alvorlige sårbarheder i Steam-klienten eller spil installeret via platformen, ifølge forskere fra opstart sårbarhed forskning og konsulentfirma ReVuln.

Steam-klienten kan køre på Windows, Mac OS X og Linux, selvom det kun er en betaversion i det sidste operativsystem.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Når Steam-klienten er installeret på et system, registrerer den sig selv som en damp: // URL-protokollhåndterer. Dette betyder, at hver gang en bruger klikker på en damp: // URL i en browser eller en anden applikation, sendes URL'en til Steam-klienten for udførelse.

Damp: // URL'er kan indeholde Steam Protocol-kommandoer til at installere eller afinstallere spil, opdatere spil, starte spil med bestemte parametre, sikkerhedskopiere filer eller udføre andre understøttede handlinger.

Attackere kan misbruge disse kommandoer for at udnytte sårbarheder i Steam-klienten eller Steam-spil installeret på et system ved at narre brugere til at åbne ondsindet udformet damp: // URL'er, ReVuln sikkerhedsforskere og stiftere Luigi Auriemma og Donato Ferrante sagde i forskningspapir udgivet mandag.

Problemet er, at nogle browsere og applikationer automatisk sender damp: // URL'er til Steam-klienten uden at spørge om bekræftelse fra brugere, sagde forskerne. Andre browsere beder brugerbekræftelse, men viser ikke de fulde webadresser eller advarer om farerne ved at tillade, at sådanne webadresser udføres.

Ifølge tests udført af ReVuln-forskerne, vises advarsler i Internet Explorer 9, Google Chrome og Opera og fuld eller delvis damp: // URL'er før de sendes til Steam-klienten for udførelse. Firefox anmelder også brugerbekræftelse, men viser ikke webadressen og giver ingen advarsel, mens Safari automatisk udfører damp: // URL'er uden brugerbekræftelse, sagde forskerne.

"Alle browsere, der udfører eksterne adresseledere uden advarsler og dem, der er baseret på Mozilla-motoren (som Firefox og SeaMonkey), er en perfekt vektor til at udføre tavse Steam Browser Protocol-opkald, "siger forskerne. "I tillæg til browsere som Internet Explorer og Opera er det stadig muligt at skjule den risikable del af webadressen fra at blive vist i advarselsmeddelelsen ved at tilføje flere mellemrum i dampen: // URL selv."

Bortset fra at narre brugere manuelt klik på skurk damp: // URL'er, angriberne kan bruge JavaScript-kode indlæst på ondsindede sider for at omdirigere browsere til sådanne webadresser, sagde Luigi Auriemma tirsdag via email.

Browsere, der kræver brugerbekræftelse for damp: // Gennemførelse af webadressen som standard give brugerne en mulighed for at ændre denne adfærd og få URL'erne automatisk udført af Steam-klienten, sagde Auriemma. "Det er meget muligt, at mange spillere allerede har dampen: // links, der udføres direkte i browseren for at undgå irritationen af ​​at bekræfte dem hele tiden."

Et skærmbillede fra video-proof-videoen skabt af ReVuln at viser, hvordan angriberne kan misbruge den måde, hvorpå browsere og andre applikationer håndterer strøm: // protokolladresser

Forskerne har udgivet en video, hvor de viser, hvordan damp: // URL'er kan bruges til at udnytte nogle af de svagheder, de har fundet i Steam-klienten og populære spil.

Eksempelvis kan Steam-protokollens "retailinstall" -kommando bruges til at indlæse en fejlformet TGA-splashbilledfil, der udnytter en sårbarhed i Steam-klienten til at udføre skadelig kode i forbindelse med sin proces, sagde forskerne.

I et andet eksempel kan en damp: // URL bruges til at udføre legitime kommandoer fundet i Valve's Source-spilmotor for at skrive en.bat-fil med angriberstyret indhold inde i Windows Startup-mappe. Filer i Windows Startup-mappen udføres automatisk, når brugerne logger ind.

Kilde-spilmotoren bruges i mange populære spil, herunder Half-Life, Counter-Strike og Team Fortress, der har titusindvis af spillere.

En anden populær spilmotor kaldet Unreal understøtter ilæggelsen af ​​filer fra eksterne WebDAV- eller SMB-delte mapper via kommandolinjeparametre. En skurk damp: // URL kan bruges til at indlæse en ondsindet fil fra et sådant sted, der udnytter en af ​​de mange integer overløbssvagheder, der findes i spilmotoren til at udføre skadelig kode, sagde ReVuln-forskerne.

Den automatiske opdatering funktion fundet i nogle spil som APB Reloaded eller MicroVolts kan også misbruges via damp: // URL'er til at oprette filer med angriberstyret indhold på disken.

For at beskytte sig selv kan brugerne deaktivere dampen: // URL-protokollen handler manuelt eller med en specialiseret applikation eller kan bruge en browser, der ikke automatisk udfører damp: // URL'er, sagde Auriemma. "Ulempen er, at de spillere, der bruger disse links lokalt (genveje) eller online (web browser) for at slutte sig til servere eller bruge andre funktioner i denne protokol, vil ikke kunne bruge dem."

Da Safari er en af ​​de browsere, udfører automatisk damp: // URL'er, Mac OS X-brugere, som repræsenterer hovedparten af ​​browsers brugerbase, kan være mere udsat for sådanne angreb. "Mac OS er den sekundære platform, der bruges på Steam, og mange spil er tilgængelige for denne platform, så den har en bred brugerbase," siger Auriemma. "9, efter vores mening skal Valve fjerne passering af kommandolinjeparametre til spil fordi det er for farligt, og de kan ikke kontrollere, hvordan disse tredjeparts software kan virke med misdannede parametre, "sagde forskeren.

Valve returnerede ikke straks en anmodning om kommentarer.

Tidligere i denne måned begyndte Valve at distribuere udvalgte ikke- -gaming software titler gennem damp. Sårbarheder, der findes i sådanne applikationer, kan også udnyttes gennem damp: // URL'er, sagde Auriemma.

"I de seneste måneder investerede Valve meget i Steam-platformen, der lancerede beta-versionen af ​​Steam for Linux, og tilføjede GreenLight-tjenesten, hvor brugere kan stemme på hvilke spil de gerne vil se tilgængelige på Steam, tilføjede Software-sektionen, tilføjede flere spil og nogle fremhævede spil til rådighed for begrænset tid, tonsvis af gratis spil-spil og meget mere, "siger forskeren. "Der var ikke noget bedre øjeblik at se disse problemer end nu."